Kandidatafhandling Cobit 5 Alignment

195 Pages·2012·1.95 MB·English

by  Marie Elling

Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

Titelblad

Aalborg Universitet – Cand.merc.aud 10. Semester

Vejleder: Hans Henrik Aabenhus Berthing
Betegnelse: Kandidatafhandling
Titel: Cobit 5 - Alignment
Emne: It ledelse
Afleveringstidspunktet: 15 maj 2012
Antal tegn og side antal: 334.951 tegn svarende til 139,56 normalsider

Kandidatafhandlingen er udarbejdet af1:

Marie Krupsdahl A. Elling __________________________________

Mette Blanner Holleufer __________________________________

1 For ansvarsområder se Bilag 9
Side 2 af 195
Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

Executive Summary

The new age and information society caused information technology (IT) to become one of the founda-
tions of today’s businesses where competition in the market triggers new opportunities. These opportu-
nities can provide competitive advantages and achieve optimal utilization of company resources, result-
ing in an increase of company productivity. If companies can exploit and manage their IT in a reasona-
ble manner, they are able to increase company profits.

Thus, today’s companies rely on IT and are compelled to recognize the IT challenges that exist in order
to control the IT security within a company. Since management does not always have the necessary
insight into the threats and opportunities in the IT field, they can seek advice from an auditor. It is nec-
essary to distinguish the auditor’s function between advising the company in decisions and performing
the audit of company accounts.

Frameworks have been a part of enterprise IT management because of the managements and stakehold-
ers’ desires for an improved return from IT investments, concern about rising costs of IT and the need
to fulfill more strict regulatory requirements.

Businesses establish frameworks and standards to control the quality and reliability in IT application
and regulatory requirements. It may have implications for the company, it the introduction of frame-
works and standards are not focused and processed too in-depth in relation to business needs, thereby
becoming too costly for the company. Thus, implementation of frameworks and standards should be
considered in relation to the company’s risk management, to what is most beneficial in relation to the
individual company and to the methods the company already uses, creating a perfect synergy between
the existing methods and potentially implemented standards.

IT addresses not only technology but also the entire enterprise approach to IT and IT security. This has
to be done from the top management all the way down to the individual employee. The Board of Direc-
tors and the management therefore need to expand IT management, thereby ensuring that the overall
Side 3 af 195
Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

goals and strategies of the company is maintained. In this way, IT management should not be separated
from the remaining leadership of the company, but instead become an integrated part of overall man-
agement. IT should be incorporated into the company’s business like any other strategic considerations.

The purpose of this thesis is to investigate: How can an auditor counsel the board of directors to obtain
the best utilization of the IT resources within the enterprise?

When operating within the IT field, auditors and management should be aware of published frame-
works and standards that can serve as inspiration and guidance for managing IT. The frameworks and
standards presented in this thesis are:

- ISACA’s Cobit 5
- COSO’s Enterprise Risk Management (ERM)
- ISO/IEC 27001 and 27002
- ISO/IEC 20000-series
- ISO/IEC 38500
- SEI’s CMMI
- OGC’s Prince2
- OGC’s ITILv3
- ISF’s The 2011 Standard

Since companies are now aware of the importance of IT processes, Cobit 5 is an optimal tool for con-
trolling and understanding all levels of internal controls. Therefore; Cobit 5 and its processes is the
overall framework and has been the base for alignment with the other frameworks and standards.
The presented frameworks and standards contain different focus areas, and it may be necessary for the
company to build a model that is tailored to the specific needs of the business. In addition, it is neces-
sary to align the various frameworks and standards. Auditors must agree with the company they advise,
while the auditor must have insight into the various frameworks and standards in order to provide the
best possible advice for the specific company. Since no companies are alike, there is no single frame-
Side 4 af 195
Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

work or one standard that is optimal for all businesses. It is necessary that the company selects process-
es from the various frameworks and standards, and puts together its own model to create an ideal set of
standards, so that the company utilizes their IT resources in the best possible way.

Side 5 af 195
Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

Indholdsfortegnelse

EXECUTIVE SUMMARY ..................................................................................................................................................... 3
INDLEDNING ........................................................................................................................................................................ 8
1. PROBLEMFELT .............................................................................................................................................................................................8
2. BEGREBSFORKLARING ............................................................................................................................................................................ 11
3. AFGRÆSNING ............................................................................................................................................................................................ 12
4. PROJEKTDESIGN & METODE ................................................................................................................................................................. 14
5. KILDEKRITIK ............................................................................................................................................................................................. 16
TEORI ...................................................................................................................................................................................17
6. COBIT 5 SOM DET OVERORDNEDE FRAMEWORK ............................................................................................................................. 17
COBIT 5 ................................................................................................................................................................................18
7 PRINCIP 1: IMØDEGÅ INTERESSENTERNES BEHOV. ........................................................................................................................ 19
8 PRINCIP 2: DÆKKE VIRKSOMHEDEN ”END-TO-END”..................................................................................................................... 21
9 PRINCIP 3: ANVENDE ÉT INTEGRERET FRAMEWORK..................................................................................................................... 22
10 PRINCIP 4: MULIGGØR EN HOLISTISK TILGANG ............................................................................................................................ 23
11 PRINCIP 5: ADSKILLE GOVERNANCE FRA MANAGEMENT ........................................................................................................... 25
12 IMPLEMENTERINGSVEJLEDNING ........................................................................................................................................................ 26
13 PROCESS CAPABILITY MODEL ............................................................................................................................................................ 28
14 COBIT 5 - PROCESSERNE ...................................................................................................................................................................... 30
ENTERPRISE RISK MANAGEMENT .............................................................................................................................47
ISO/IEC 27001 ...................................................................................................................................................................52
15. STYRINGSMÅ L OG FORÅNSTÅLTNINGER I ISO/IEC 27001....................................................................................................... 54
ISO/IEC 27002 ...................................................................................................................................................................60
16. CLAUSES I ISO/IEC 27002 ............................................................................................................................................................... 60
ISO/IEC 20000-SERIEN...................................................................................................................................................69
17 ISO/IEC 20000-1- SERVICE MANAGEMENT SYSTEM REQUIREMENTS ................................................................................ 69
18 ISO/IEC 20000-2 – CODE OF PRACTICE ....................................................................................................................................... 75
19 ISO/IEC 20000-4 - PROCESS REFERENCE MODEL .................................................................................................................... 82
ISO/IEC 38500 ...................................................................................................................................................................88
20 PRINCIPPER I ISO/IEC 38500.......................................................................................................................................................... 90
CMMI .....................................................................................................................................................................................92
21 KERNEPROCESSER I CMMI ................................................................................................................................................................. 94
22 CAPABILITY LEVELS OG MATURITY LEVELS ................................................................................................................................... 97
23 CMMI FOR DEVELOPMENT .............................................................................................................................................................. 100
24 CMMI FOR ACQUISITION .................................................................................................................................................................. 102
25 CMMI FOR SERVICES ......................................................................................................................................................................... 104
PRINCE 2........................................................................................................................................................................... 106
26 PRINCIPPER I PRINCE2 ...................................................................................................................................................................... 106
27 PROCESSER I PRINCE2 ....................................................................................................................................................................... 109
Side 6 af 195
Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

ITIL ..................................................................................................................................................................................... 112
28 ITIL SERVICE STRATEGY .................................................................................................................................................................. 113
29 ITIL SERVICE DESIGN ........................................................................................................................................................................ 115
30 ITIL SERVICE TRANSITION............................................................................................................................................................... 117
31 ITIL SERVICE OPERATION ................................................................................................................................................................ 119
32 ITIL CONTINUAL SERVICE IMPROVEMENT .................................................................................................................................. 121
THE 2011 STANDARD OF GOOD PRACTICE FOR INFORMATION SECURITY ............................................ 122
33 KATEGORIER I THE 2011 STANDARD ........................................................................................................................................... 124
INTERVIEW ..................................................................................................................................................................... 144
ALIGNMENT..................................................................................................................................................................... 146
34 ALIGNMENT - EDM DOMÆNET ...................................................................................................................................................... 147
35 ALIGNMENT - APO DOMÆNET ....................................................................................................................................................... 152
36 ALIGNMENT - BAI DOMÆNET ......................................................................................................................................................... 166
37 ALIGNMENT - DSS DOMÆNET ........................................................................................................................................................ 172
38 ALIGNMENT - MEA DOMÆNET....................................................................................................................................................... 178
KONKLUSION .................................................................................................................................................................. 180
LITTERATURLISTE ....................................................................................................................................................... 183
PUBLIKATIONER......................................................................................................................................................................................... 183
INTERNET .................................................................................................................................................................................................... 184
LOVE.............................................................................................................................................................................................................. 184
STANDARDER .............................................................................................................................................................................................. 184
INTERVIEW .................................................................................................................................................................................................. 185
BILAG 1 – COBIT 5’S FORRETNINGSMÅL............................................................................................................... 186
BILAG 2 – COBIT 5’S IT RELATEREDE MÅL .......................................................................................................... 187
BILAG 3 – COBIT 5’S PRM ........................................................................................................................................... 188
BILAG 4 – ALIGNMENT AF EDM DOMÆNET ......................................................................................................... 189
BILAG 5 – ALIGNMENT AF APO DOMÆNET .......................................................................................................... 190
BILAG 6 – ALIGNMENT AF BAI DOMÆNET ........................................................................................................... 191
BILAG 7 – ALIGNMENT AF DSS DOMÆNET ........................................................................................................... 192
BILAG 8 – ALIGNMENT AF MEA DOMÆNET ......................................................................................................... 193
BILAG 9 – ANSVARSOMRÅDER ................................................................................................................................. 194

Side 7 af 195
Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

Indledning

1. Problemfelt
Informationssamfundet bevirker, at informationsteknologi (it) er en af grundstenene for virksomheder,
når de skal konkurrere på markedet, og medfører derved muligheder for virksomhederne. Muligheder
som konkurrencemæssige fordele samt at opnå optimal udnyttelse af virksomhedens ressourcer, så pro-
duktiviteten i virksomheden således øges. Hvis virksomhederne forstår at udnytte og administrere deres
it på en fornuftig måde, kan de derved øge virksomhedens overskud.2

Derfor er virksomheder i dag afhængige af it og er nødsaget til at erkende de it relaterede udfordringer,
som eksisterer for derved at styre it sikkerheden i virksomheden. Da ledelsen ikke altid har den nød-
vendige indsigt i virksomhedens trusler og muligheder på it området, kan de søge rådgivning hos en
revisor. Dog er revisors opgave ikke blot at rådgive ledelsen, men også at revidere virksomhedens it
kontroller. Som revisor er det ifølge den International Standards of Auditing (ISA) 315: Identifikation
og vurdering af risici for væsentlig fejlinformation igennem forståelse af virksomheden og dens omgi-
velser et krav, at der opnås en forståelse af virksomhedens interne kontroller og vurderer de potentielle
risici, som eksisterer, heriblandt it relaterede risici, så der kan udformes og implementeres reaktioner på
risiciene. Andre revisionsstandarder end ISA 315 indeholder ligeledes it relaterede overvejelser revisor
skal vurdere ved revision.3 Det er nødvendigt at skelne mellem om revisor skal rådgive virksomheden i
beslutninger, eller om revisor skal udføre revision af virksomhedens regnskabsaflæggelse. Der skal
ifølge International Standard on Quality Control (ISQC) 1: Kvalitetsstyring i firmaer, som udfører revi-
sion og review af regnskaber, andre erklæringer med sikkerhed og beslægtede opgaver etableres poli-
tikker og procedurer, for at opnå en høj grad af sikkerhed for om revisionsfirmaet og dets personale,
som er underlagt uafhængighedskravene, også opretholder denne uafhængighed. Disse politikker og
procedurer skal identificere og vurdere omstændigheder og relationer, som kan udløse en trussel mod
uafhængigheden. Derudover skal disse politikker og procedurer muliggør eliminering af disse trusler
eller reducere dem til et acceptabelt niveau ved at indføre sikkerhedsforanstaltninger. Derfor kan det

2 ITGI: IT Governance Using CobiT and Val IT Student Book s. 3
3 Karnov Group: Revisorhåndbogen 2011 s. 1111
Side 8 af 195
Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

påvirke revisors uafhængighed, hvis samme revisor er ansvarlig for at rådgive virksomheden, såfremt
revisoren ligeledes skal udføre revision af regnskabsaflæggelsen.4

It omhandler ikke blot teknik, men handler også om hele virksomhedens holdning til it og it sikkerhed.
Dette er helt oppe fra øverste ledelsesniveau og ned til den enkelte medarbejder. It bør indarbejdes i
virksomhedens forretning ligesom alle andre strategiske overvejelser. Bestyrelsen og direktionen har
derfor behov for at udvide it styringen, så virksomhedens overordnede mål og strategier bliver opret-
holdt. Således skal it ledelse ikke adskilles fra den resterende ledelse af virksomheden, men i stedet
blive en integreret del af den samlede styring.5

Frameworks er blevet en del af virksomhedens it ledelse på grund af ledelsens og interessenternes øn-
ske for et bedre afkast fra it investeringer, bekymring for stigende udgifter til it og behovet for at opfyl-
de strengere lovgivningsmæssige krav som blandt andet US Sarbanes-Oxley Act.6

US Sarbanes-Oxley Act blev i 2002 vedtaget som ny lov i USA, der indeholder krav om nøjagtighed og
troværdighed til de informationer, som virksomheden skal videregive til offentligheden. Årsagen til
regelsættet var erhvervsskandaler som blandt andet Enron-skandalen, hvor de finansielle resultater ikke
var pålidelige på grund af regnskabssvindel. US Sarbanes-Oxley Act ændrede kravene til interne pro-
cesser som offentlige virksomheder havde anvendt i deres ledelse og til udarbejdelse af årsrapporten til
Securities and Exchange Commission (SEC). Desuden havde US Sarbanes-Oxley Act betydning for
såvel ekstern revisor som intern revisors aktiviteter og ansvar, selvom disse revisorer skal overholde
forskellige standarder som Public Company Accounting Oversight Board (PCAOB) og har forskellige
målsætninger. PCAOB introducerede på baggrund af US Sarbanes-Oxley Act den risikobaserede Au-
diting Standard No. 57, som fastlægger krav og retningslinjer for revisors revision af den interne kon-
trol ved regnskabsaflæggelsen.8

4 Karnov Group: Revisorhåndbogen 2011 s. 924 punkt 21
5 ITGI: IT Governance Using CobiT and Val IT Student Book s. 3
6 ITGI: Aligning CobiT 4.1, ITIL v3 and ISO/IEC 27002 for Business Benefit s. 8
7 Robert R. Moeller: Sarbanes-Oxley Internal Controls –Effective Auditing with AS5, CobiT and ITIL s. 1 + 2
8 PCAOB: Auditing Standard No. 5
Side 9 af 195
Kandidatafhandling i it ledelse Cand.merc.aud
Aalborg Universitet Forår 2012

Virksomheder indfører frameworks for at styre kvaliteten og pålideligheden af it anvendelse samt lov-
givningsmæssige krav. Det kan få konsekvenser for virksomheden, hvis indførelsen af frameworks ikke
er fokuseret og behandles for dybdegående i forhold til virksomhedens behov, og derved bliver for om-
kostningsfuldt for virksomheden. Derfor bør implementeringen af frameworks overvejes i forhold til
virksomhedens risikostyring, hvad der er mest fordelagtig i forhold til den enkelte virksomhed samt de
metoder virksomheden i forvejen anvender.9

1.1 Problemformulering
Således er it et af fundamenterne for virksomheder og bør indarbejdes i virksomhedens forretning lige-
som andre strategiske overvejelser. It ledelse skal være en integreret del af virksomhedens samlede
styring når der foretages ledelsesmæssige beslutninger. Det får betydning for produktiviteten i virk-
somheden, om ledelsen formår at få det optimale ud af virksomhedens it ressourcer, så konkurrence-
mæssige fordele bliver potentielle.

Med udgangspunkt i ovenstående problemstilling vil nedenstående problemformulering være udgangs-
punktet for denne kandidatafhandling:

Hvordan kan revisor rådgive ledelsen til at få det optimale ud af virksomhedens it ressourcer?

Når der i problemformuleringen nævnes revisor, relaterer dette både til interne og eksterne revisorer, da
ledelsen i deres beslutningsproces har mulighed for at tilegne sig informationer fra såvel interne reviso-
rer som eksterne revisorer. Ordet rådgivning i problemformuleringen sidestilles med revisors kendskab
til diverse love, standarder og frameworks indenfor it området, og revisors mulighed for at videreføre
disse i ledelsens beslutningsgrundlag og som inspiration til ledelsen. Med ledelsen refereres der til
virksomhedens øverste ledelse, som varetager udarbejdelsen af virksomhedens overordnede forret-
ningsstrategi.10 Når ordet optimal anvendes i problemformuleringen, er det et udtryk for, at der opnås
det mest fordelagtige alternativ på baggrund af omstændighederne. Virksomhedens it ressourcer relate-
rer sig til, at alt afhængig af hvilken virksomhed der tages udgangspunkt i, har virksomhederne forskel-

9 ITGI: Aligning CobiT 4.1, ITIL v3 and ISO/IEC 27002 for Business Benefit s. 6
10 Selskabsloven § 115
Side 10 af 195